CVE-2024-25624

Iris, olay müdahale ekiplerinin incelemeler sırasında teknik detayları paylaşmalarına yardımcı olmayı amaçlayan bir web iş birliği platformudur. Jinja2 ortamının hatalı kurulumu nedeniyle, `iris-web` içerisindeki rapor oluşturma işlemi Sunucu Taraflı Şablon Enjeksiyonuna (SSTI) karşı savunmasızdır. Bu zafiyetin başarıyla istismar edilmesi, keyfi Uzaktan Kod Çalıştırmaya yol açabilir. Kimliği doğrulanmış bir yöneticinin, yükü içeren özel olarak hazırlanmış bir rapor şablonu yüklemesi gerekir. Hazırlanan bu rapora dayalı bir rapor oluşturulduğunda, herhangi bir kullanıcı zafiyeti tetikleyebilir. Zafiyet IRIS v2.4.6 sürümünde giderilmiştir. Herhangi bir geçici çözüm mevcut değildir. Mümkün olan en kısa sürede güncelleme yapılması önerilir. Yama uygulanana kadar rapor şablonlarını gözden geçirin ve rapor şablonu yükleme yetkisini içeren yönetici ayrıcalıklarını yalnızca belirli kullanıcılarla sınırlandırın.